Google Chrome ได้รับการอัปเดตแพทช์ความปลอดภัยที่สำคัญแล้ว แต่กระเป๋าเงินคริปโตของคุณอาจยังคงมีความเสี่ยงอยู่

Ledger CTO Charles Guillemet คือ การแนะนำ ผู้ใช้งานคริปโตควรทำการอัปเดต Google Chrome ทันทีหลังจากที่ Google ออกมาประกาศ การเผยแพร่ แพทช์รักษาความปลอดภัยที่แก้ไขช่องโหว่ 26 รายการ ซึ่งรวมถึงช่องโหว่ระดับวิกฤต 4 รายการ และช่องโหว่ระดับความรุนแรงสูง 22 รายการ 

ช่องโหว่ดังกล่าวรวมถึงข้อผิดพลาดในการจัดการหน่วยความจำ ซึ่งอาจทำให้ผู้โจมตีที่ไม่ได้รับอนุญาตสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลผ่านทางเว็บเพจที่สร้างขึ้นเป็นพิเศษได้

CTO ของ Ledger พูดว่าอย่างไรกันแน่?

กิเยเมต์ได้แชร์ข้อความเตือนดังกล่าวสู่สาธารณะ พร้อมทั้งเสริมข้อสังเกตที่สำคัญซึ่งนอกเหนือไปจากการแก้ไขปัญหาของ Chrome เอง เขากล่าวว่า "เป็นการเตือนที่ดีว่าคุณไม่สามารถไว้วางใจเบราว์เซอร์หรือคอมพิวเตอร์ของคุณสำหรับความลับอันมีค่าของคุณได้" ความคิดเห็นนี้มุ่งเป้าไปที่ผู้ใช้คริปโตเคอร์เรนซีที่พึ่งพาแอปพลิเคชันกระเป๋าเงินและส่วนขยายบนเบราว์เซอร์สำหรับการใช้งานประจำวันโดยตรง

ช่องโหว่ที่ตรวจพบในรอบการแก้ไขนี้ แบ่งออกเป็น 3 ประเภทหลักของข้อผิดพลาดในการจัดการหน่วยความจำ:

• สภาวะการใช้งานหน่วยความจำหลังจากถูกปล่อย (Use-after-free) คือสภาวะที่โปรแกรมยังคงใช้หน่วยความจำต่อไปหลังจากที่ได้ปล่อยหน่วยความจำไปแล้ว
• บัฟเฟอร์โอเวอร์โฟลว์ในฮีป คือการเขียนข้อมูลเกินพื้นที่หน่วยความจำที่จัดสรรไว้
• การเข้าถึงนอกขอบเขต คือการที่โค้ดอ่านหรือเขียนข้อมูลในหน่วยความจำนอกช่วงที่กำหนดไว้

ช่องโหว่เหล่านี้แต่ละช่องสามารถถูกใช้ประโยชน์ในการเขียนข้อมูลที่เป็นอันตรายลงในหน่วยความจำของระบบและทำการเรียกใช้โค้ดจากระยะไกลได้ โดยส่วนใหญ่ผู้ใช้ไม่จำเป็นต้องทำอะไรเลย นอกจากการเข้าชมเว็บไซต์ที่เป็นอันตราย

ช่องโหว่ของ Chrome สามารถดูดเงินในกระเป๋าคริปโตของคุณจนหมดได้จริงหรือไม่?

คริปโตเคอร์เรนซีของคุณถูกจัดเก็บไว้บนบล็อกเชน ไม่ได้อยู่ในตัวเบราว์เซอร์เอง อย่างไรก็ตาม ช่องโหว่ของเบราว์เซอร์ที่ใช้งานได้นั้นไม่จำเป็นต้องเข้าถึงบล็อกเชนโดยตรงเพื่อสร้างความเสียหายที่แท้จริง มันจะมุ่งเป้าไปที่เลเยอร์ส่วนติดต่อผู้ใช้ของกระเป๋าเงิน และนั่นคือจุดที่ความเสี่ยงเกิดขึ้นจริง

กระเป๋าเงินดิจิทัลแบบใช้งานผ่านเบราว์เซอร์ เช่น MetaMask, Rabby และ Phantom ทำงานโดยหลักๆ แล้วในรูปแบบส่วนขยายของ Chrome หากมีการโจมตีเกิดขึ้นภายในเบราว์เซอร์ ผู้โจมตีสามารถโต้ตอบกับส่วนติดต่อผู้ใช้ของกระเป๋าเงินได้หลายวิธี

แฮกเกอร์ใช้ช่องโหว่ของเบราว์เซอร์โจมตีผู้ใช้กระเป๋าเงินดิจิทัลอย่างไร

เมื่อเข้าสู่สภาพแวดล้อมของเบราว์เซอร์แล้ว วิธีการโจมตีทั่วไป ได้แก่:

• ข้อความแจ้งเตือนสำหรับกระเป๋าสตางค์ปลอม: หน้าต่างป๊อปอัปที่เลียนแบบหน้าจอการยืนยันกระเป๋าเงินดิจิทัลของ MetaMask หรือแอปพลิเคชันอื่น ๆ จะขอให้ผู้ใช้ "เชื่อมต่อใหม่" หรือ "รับสิทธิ์" ในสินทรัพย์ การคลิกผ่านจะถือเป็นการอนุมัติธุรกรรมและโอนเงินไปยังกระเป๋าเงินของผู้โจมตี
• การอนุมัติการใช้จ่าย: แทนที่จะขโมยเงินทันที ช่องโหว่นี้จะขอลายเซ็นอนุมัติโทเค็น ซึ่งจะทำให้สัญญาอัจฉริยะของผู้โจมตีได้รับอนุญาตให้โอนโทเค็นได้ทุกเมื่อในอนาคต
• การโจรกรรมเซสชัน: หากช่องโหว่นี้สามารถดักจับคุกกี้เซสชันจากแท็บ Exchange ที่เปิดอยู่ได้ มันจะสามารถทำงานในฐานะผู้ใช้นั้นจนกว่าเซสชันจะสิ้นสุดลง และสามารถเคลื่อนย้ายทรัพย์สินได้โดยไม่ต้องมีการโต้ตอบเพิ่มเติม
• การละเมิดการใช้คลิปบอร์ดและการกดแป้นพิมพ์: ช่องโหว่บางอย่างจะตรวจสอบเนื้อหาในคลิปบอร์ดเพื่อดักจับที่อยู่กระเป๋าเงินดิจิทัลหรือรหัสผ่านที่ถูกคัดลอก

นี่ไม่ใช่สถานการณ์สมมติ ในเดือนธันวาคม 2025 Trust Wallet จะพร้อมใช้งาน ได้รับการยืนยัน เหตุการณ์ด้านความปลอดภัยที่เกี่ยวข้องกับส่วนขยาย Chrome เวอร์ชัน 2.68 ซึ่งโค้ดที่เป็นอันตรายจะวนลูปผ่านกระเป๋าเงินดิจิทัลที่จัดเก็บไว้ เรียกใช้คำขอวลีช่วยจำ ถอดรหัสโดยใช้รหัสผ่านของผู้ใช้ และส่งไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม ส่งผลให้เงินประมาณ 7 ล้านดอลลาร์หายไป รวมถึง Bitcoin ประมาณ 3 ล้านดอลลาร์และ Ethereum มากกว่า 3 ล้านดอลลาร์ 

ค้นพบโครงการอันน่าตื่นเต้น...

โครงการอันน่าสัญญา...

(โฆษณา)

บทความต่อ...

ZachXBT นักสืบด้านบล็อกเชน ยืนยันว่ามีเหยื่อหลายร้อยราย โดยเงินที่ถูกขโมยไปนั้นถูกส่งผ่าน ChangeNOW, FixedFloat และ KuCoin เพื่อฟอกเงิน

นี่ไม่ใช่ครั้งแรกที่ Chrome เผชิญกับปัญหาด้านความปลอดภัย

ในเดือนกันยายน 2025 Google ปะ ช่องโหว่ Zero-day ของ Chrome ที่ถูกติดตามในรหัส CVE-2025-10585 เป็นบั๊กประเภทข้อมูลสับสน (type-confusion bug) ใน V8 ซึ่งเป็นเอนจิน JavaScript ของ Chrome ช่องโหว่ประเภทข้อมูลสับสนหมายความว่าเบราว์เซอร์อาจจัดการวัตถุในหน่วยความจำผิดพลาด เปิดช่องทางให้สามารถเรียกใช้โค้ดได้ Google ยืนยันในขณะนั้นว่าช่องโหว่นี้ถูกใช้ประโยชน์อย่างจริงจังก่อนที่จะมีการออกแพทช์แก้ไข

รอบการแก้ไขช่องโหว่ครั้งนั้นเป็นไปในรูปแบบเดียวกับครั้งปัจจุบัน คือ มีช่องโหว่ระดับหน่วยความจำ ถูกโจมตีอย่างแพร่หลาย และได้รับการแก้ไขอย่างเร่งด่วนในช่องทางเวอร์ชันเสถียร

ช่องโหว่ "DarkSword" บน iOS เพิ่มแนวรบที่สอง

แยกกัน Binance ออก ในช่วงเวลาเดียวกันนั้น Apple ได้แจ้งเตือนด้านความปลอดภัยแก่ผู้ใช้ iOS โดยระบุช่องโหว่ร้ายแรงที่เรียกว่า "DarkSword" ซึ่งส่งผลกระทบต่อ iOS เวอร์ชัน 18.4 ถึง 18.7 

แตกต่างจากการโจมตีผ่านเบราว์เซอร์ DarkSword เป็นช่องโหว่ระดับระบบที่สามารถทำงานได้โดยอัตโนมัติโดยไม่ต้องมีการโต้ตอบจากผู้ใช้เมื่อเข้าชมเว็บไซต์ที่ถูกบุกรุก มันสามารถดึงข้อมูลที่ละเอียดอ่อน รวมถึงข้อมูลกระเป๋าเงินคริปโต และลบร่องรอยของตัวเองหลังจากการทำงาน ทำให้ยากต่อการตรวจจับในภายหลัง

สิ่งที่ผู้ใช้คริปโตควรทำในตอนนี้

ช่องโหว่ของเบราว์เซอร์ไม่ใช่เรื่องใหม่ แต่ผลกระทบต่อผู้ใช้คริปโตนั้นรุนแรงกว่าผู้ใช้อินเทอร์เน็ตทั่วไป เซสชันเบราว์เซอร์ที่ถูกบุกรุกอาจนำไปสู่การทำธุรกรรมที่ถูกขโมย การอนุมัติที่ถูกขโมย และการถูกดูดเงินออกจากกระเป๋าเงิน แม้ว่าสินทรัพย์พื้นฐานจะอยู่บนบล็อกเชนอย่างปลอดภัยก็ตาม

ขั้นตอนแรกนั้นตรงไปตรงมา:

• อัปเดต Google Chrome เป็นเวอร์ชันล่าสุดในการตั้งค่าเบราว์เซอร์ของคุณ
• ตรวจสอบให้แน่ใจว่าส่วนขยายกระเป๋าเงินดิจิทัลทั้งหมด รวมถึง MetaMask, Rabby และ Phantom กำลังใช้งานเวอร์ชันล่าสุด
• หลีกเลี่ยงการโต้ตอบกับข้อความแจ้งเตือนกระเป๋าเงิน คำขอเชื่อมต่อใหม่ หรือการแจ้งเตือนการเรียกร้องสินทรัพย์ที่ไม่คาดคิด
• ผู้ใช้ iOS ควรอัปเดตระบบเป็นเวอร์ชันล่าสุดเพื่อแก้ไขช่องโหว่ DarkSword

ประเด็นหลักของ Guillemet ยังคงใช้ได้ไม่ว่าช่องโหว่ใดจะเป็นข่าวใหญ่ในสัปดาห์นี้ก็ตาม เบราว์เซอร์เป็นสภาพแวดล้อมที่ไม่เป็นมิตรต่อความลับทางการเงิน สำหรับผู้ใช้ที่จัดการสินทรัพย์คริปโตจำนวนมากผ่านส่วนขยายเบราว์เซอร์เพียงอย่างเดียว การคำนวณความเสี่ยงนั้นคุ้มค่าที่จะทบทวนอีกครั้ง

แหล่งข้อมูล

1. Ledger CTO Charles Guillemet บน Xโพสต์เมื่อวันที่ 21 มีนาคม

2. Trust Wallet บน Xโพสต์เมื่อ 26 ธันวาคม

3. รายงานโดยไซเบอร์เพรสการอัปเดต Google Chrome แก้ไขช่องโหว่ด้านความปลอดภัย 26 รายการ รวมถึงช่องโหว่ RCE (Remote Code Execution)

4. รายงานโดย The Hacker News: Google แก้ช่องโหว่ Zero-Day CVE-2025-10585 ใน Chrome เนื่องจากช่องโหว่ V8 ที่ยังใช้งานอยู่คุกคามผู้ใช้หลายล้านคน